idw – Informationsdienst Wissenschaft
Nachrichten, Termine, Experten
Nachrichten, Termine, Experten
Fraunhofer-Institut SIT findet Sicherheitslücke im Passwort-Verwaltungsprogramm von Mobiltelefonen
Mitarbeiter des Fraunhofer-Instituts für Sichere Informationstechnologie in Darmstadt haben eine Sicherheitslücke in der Passwort-Software Code-Memo gefunden. Die Software ist standardmäßig auf den meisten Sony-Ericsson-Handys installiert und ermöglicht es dem Nutzer, persönliche Geheimnisse wie Passwörter oder PINs verschlüsselt auf dem Mobiltelefon zu speichern. Die Wissenschaftler haben im Rahmen einer BlackBox-Analyse eine Schwachstelle gefunden, durch die Angreifer trotz Verschlüsselung mit einfachen Mitteln an alle mit Code-Memo gespeicherten Geheimnisse gelangen können. "Dazu sind keine speziellen Hackertools nötig, wir haben den Angriff mit einer handelsüblichen Webcam und kostenloser Standardsoftware durchgeführt", sagt Fraunhofer-Mitarbeiter Ruben Wolf, der die Sicherheitslücke Mitte September auf der Expertenkonferenz Mobility in Singapur vorstellte. Vorher hatte das Fraunhofer-Institut den Hersteller bereits über die Schwachstelle informiert.
Passwörter und PINs sind nach wie vor das am weitesten verbreitete Mittel, um den Zugang zu Internetdiensten, Unternehmensanwendungen und Bankkonten zu schützen. Viele Menschen haben jedoch zu viele dieser Geheimnisse, um sie sich zu merken, und nutzen deshalb spezielle Passwortprogramme wie Code-Memo. "Wie wir im Rahmen unserer Tests aber immer wieder feststellen, schützt Code-Memo die Nutzergeheimnisse deutlich cleverer als manch anderes Programm", sagt Wolf. Code-Memo zählt zu den Programmen, die versuchen, es Angreifern schwer zu machen, indem sie auch bei Eingabe eines falschen Masterpassworts keine Fehlermeldung zeigen, sondern mit Hilfe des falschen Masterpassworts falsche Geheimnisse generieren. "Bei dieser eigentlich sinnvollen Irreführung macht das Programm allerdings einen schweren Fehler", sagt Wolf, "denn es verwendet bei der vermeintlich irreführenden Entschlüsselung Sonderzeichen, die sich per Mobiltelefon gar nicht eingeben lassen - etwa das Paragraphen- oder das Prozentzeichen." Sobald das durch einen Entschlüsselungsversuch erhaltene Passwort ein Sonderzeichen aufweist, das der Nutzer gar nicht eingegeben haben kann, weiß der Angreifer deshalb sofort, dass das eingegebene Masterpasswort falsch sein muss. Um an die Geheimnisse zu gelangen, muss er also nur alle möglichen Masterpassworte eingeben und kontrollieren, ob verbotene Sonderzeichen in den Passwörtern erscheinen - dank Computer lässt sich dieser Prozess jedoch automatisieren und das richtige Masterpasswort dank der sehr überschaubaren Masterpasswortmenge von 10 000 verschiedenen Masterpasswortkombinationen in kurzer Zeit herausfinden. Genauere Informationen zur Sicherheitslücke finden sich im Internet unter http://141.12.72.35/%7erwolf/publications/security-codememo.pdf .
http://www.sit.fraunhofer.de
http://141.12.72.35/%7erwolf/publications/security-codememo.pdf
Mit einfachsten Hilfsmitteln ausgetrickst.
Fraunhofer-Institut SIT
None
Das Paragraphenzeichen verrät, dies ist ein falsches Masterpasswort.
Fraunhofer-Institut SIT
None
Criteria of this press release:
Economics / business administration, Information technology, Media and communication sciences, Social studies
transregional, national
Research results, Transfer of Science or Research
German
Mit einfachsten Hilfsmitteln ausgetrickst.
Fraunhofer-Institut SIT
None
Das Paragraphenzeichen verrät, dies ist ein falsches Masterpasswort.
Fraunhofer-Institut SIT
None
You can combine search terms with and, or and/or not, e.g. Philo not logy.
You can use brackets to separate combinations from each other, e.g. (Philo not logy) or (Psycho and logy).
Coherent groups of words will be located as complete phrases if you put them into quotation marks, e.g. “Federal Republic of Germany”.
You can also use the advanced search without entering search terms. It will then follow the criteria you have selected (e.g. country or subject area).
If you have not selected any criteria in a given category, the entire category will be searched (e.g. all subject areas or all countries).
